如何在PHP中从PFX证书提取RSA私钥？

我完全理解你需要复刻这条终端命令的功能：

openssl pkcs12 -in cert.pfx -nocerts -nodes -passin pass:1234 | openssl rsa -out privkey.pem

这条命令做了两件核心事：

• 从PFX文件中导出不带证书、无密码保护的私钥（-nocerts忽略证书，-nodes表示不加密私钥）
• 将导出的PKCS#8格式私钥转换为传统的RSA PEM格式私钥

你之前用openssl_pkcs12_read没成功，大概率是因为没完成第二步的格式转换——这个函数返回的私钥是PKCS#8格式，需要额外处理才能得到和命令输出完全一致的RSA私钥。下面是完整的PHP实现方案：

完整代码实现 #

<?php
// 处理用户上传的PFX文件
if ($_SERVER['REQUEST_METHOD'] === 'POST' && isset($_FILES['pfx_file'])) {
    $pfxFilePath = $_FILES['pfx_file']['tmp_name'];
    $pfxPassword = '1234'; // 实际项目中可替换为用户输入的密码

    // 步骤1：解析PFX文件
    $pkcs12Data = [];
    $parseSuccess = openssl_pkcs12_read(file_get_contents($pfxFilePath), $pkcs12Data, $pfxPassword);
    
    if (!$parseSuccess) {
        die("解析PFX文件失败：" . openssl_error_string());
    }

    // 步骤2：提取并转换RSA私钥（等效于终端的openssl rsa命令）
    $rsaPrivateKey = '';
    // 导出无密码保护的RSA私钥PEM格式
    $exportSuccess = openssl_pkey_export($pkcs12Data['pkey'], $rsaPrivateKey, null);
    
    if (!$exportSuccess) {
        die("导出RSA私钥失败：" . openssl_error_string());
    }

    // 此时$rsaPrivateKey就是和终端命令输出完全一致的私钥内容
    // 可保存到文件或返回给用户
    file_put_contents('privkey.pem', $rsaPrivateKey);
    echo "RSA私钥提取成功，已保存到privkey.pem";
} else {
    // 简单的上传表单示例
    echo <<<HTML
    <form method="POST" enctype="multipart/form-data">
        <input type="file" name="pfx_file" accept=".pfx,.p12" required>
        <button type="submit">上传并提取私钥</button>
    </form>
    HTML;
}
?>

关键细节说明 #

1. PFX解析逻辑：openssl_pkcs12_read会把PFX中的私钥（pkey字段）、证书（cert字段）等内容提取到数组中，我们只需要私钥部分即可。
2. 格式转换核心：openssl_pkey_export默认会将PKCS#8格式的私钥转换为传统RSA PEM格式，第三个参数传null确保导出的私钥无密码保护（对应终端命令的-nodes参数）。
3. 错误调试：每次调用OpenSSL函数后都检查返回值，并用openssl_error_string()获取具体错误信息，方便排查解析或导出失败的原因。

注意事项 #

• 确保PHP的OpenSSL扩展已启用（可通过phpinfo()查看确认）。
• 上传的临时文件需具备可读权限，PHP默认临时目录权限通常没问题，自定义上传目录时需注意权限配置。
• 密码需与PFX文件的保护密码完全匹配，示例中用固定密码1234，实际场景建议由用户输入。

内容的提问来源于stack exchange，提问作者Milan Vještica